Mga filter ng parola ng Nebula kumpara sa firewall: ano ang hinaharang ng bawat isa

Tingnan ang isang handshake ng Nebula mula sa maling dulo at ang dalawang mekanismo ay mukhang mapagpapalit. Ang isa ay nagpapasya kung aling mga address ang iniuulat ng isang node sa parola at aling malalayong address ang susubukan nito; ang isa pa ay nagpapasya kung ano ang maaaring dumaan kapag umiiral na ang tunel. Maaaring pigilan ng isang filter ang koneksyon bago suriin ang anumang tuntunin ng firewall, at hindi maibabalik ng tuntunin ng firewall ang isang endpoint na tinanggal ng pagtuklas. Magkaibang tanong ang sinasagot ng dalawang sapin, at ang pagkakasunod-sunod ng pagkilos nila ang susi.

Sundan ang isang koneksyon sa apat na yugto: ang inihayag na lokal na address, ang isinasaalang-alang na malayong endpoint, ang handshake at ang trapiko sa overlay. May sariling konfigurasyon at sariling tandang-bigo ang bawat yugto.

Magsimula sa lokal na address na inihahayag ng node

local_allow_list sinasala ang mga lokal na address ng host na ito bago iulat sa mga parola. Maaaring mga saklaw ng address ang mga entry, at sinusuportahan din ng konfigurasyon ang mga pattern ng pangalan ng interface. Kapaki-pakinabang ito kapag may mga tulay ng container o karagdagang interface ng tunel ang host na hindi dapat maging endpoint ng mga kapares.

Daanaan ang mga interface ng host at itanong kung alin ang talagang maaabot ng malayong kapares. Ang address ng tulay ng Docker ay lokal sa host na iyon at walang gamit sa kapares sa ibang network. Ang paghahayag nito ay nagsasayang ng pagtuklas at maaaring magpadala ng kapares patungo sa address na hindi kailanman tumutugon. Anumang hindi kayang i-route ng kapares ay ingay sa tugon ng parola.

Ang makitid na listahan ng pinapayagan ay mas ligtas dito kaysa malawak na listahan ng hinaharangan. Kung may mga entry lamang ng pahintulot, ibinubukod ang natitirang hindi tinukoy; ang pagdaragdag ng entry ng pagharang sa kalaunan ay nagbabago ng default na lohika at nangangailangan ng sariling pagsusuri. Ang pagbabagong iyon ay karapat-dapat sa ikalawang tingin sa default.

Pagkatapos ay panoorin ang pagpili ng malayong endpoint

remote_allow_list sinasala ang mga address na isasaalang-alang ng host na ito para sa malayong kapares sa panahon ng handshake. Nalalapat ito sa address ng ilalim na sapin, hindi sa address sa overlay na gagamitin ng kapares kapag nakataas na ang tunel.

Ang pribadong saklaw ay maaaring ganap na magamit sa pinagsasaluhang network ng opisina at walang kabuluhan kapag ang dalawang host ay nasa magkaibang network na parehong gumagamit ng 10.0.0.0/8. Hinahayaan ka ng filter na piliin ang rutang maaaring i-route at huwag pansinin ang pagkakataon.

Kapag nabigo ang kapares na kumonekta, ihambing ang address na sinusubukan sa tuntuning tumutugma dito. I-enable ang mga log ng handshake at basahin ang napiling malayong address; pinapangalanan ng linya ng log ang endpoint na nakaligtas sa pagsasala, na mas kapaki-pakinabang kaysa sa listahan ng mga address na taglay ng kapares.

Maaaring alisin ng filter ng pangalan ng interface sa panig na naghahayag ang endpoint bago pa ito makita ng panig na tumatanggap. Suriin ang parehong node kapag isang direksyon lamang ang nabigo.

Pagkatapos ng handshake, nalalapat ang mga tuntunin ng pag-access sa overlay

Gumagana ang mga tuntunin ng firewall ng Nebula sa loob ng overlay, pagkatapos maitatag ang tunel. Itinatapat nila ang mga host, grupo, port at protocol, at nagpapasya kung maaaring pumasok o lumabas ang isang packet sa lokal na host. Hindi sila pumipili ng endpoint sa ilalim na sapin.

Ipinapaliwanag ng paghihiwalay na ito ang karaniwang maling diyagnosis. Nagdaragdag ang isang operator ng tuntunin ng firewall para sa isang port at hindi pa rin makakonekta, dahil tinanggal ng filter ng parola ang tanging maaabot na endpoint. Binubuksan ng isa pang operator ang filter ng address at hindi pa rin naaabot ang serbisyo, dahil tinatanggihan ng firewall ng overlay ang port.

Basahin ang kabiguan sa tamang sapin. Ang handshake na hindi kailanman natapos ay tumuturo sa pagtuklas, pagsasala ng endpoint o landas ng network. Ang natapos na handshake na sinusundan ng tinanggihan o itinapong koneksyon sa serbisyo ay tumuturo sa firewall ng overlay o sa aplikasyon.

Basahin ang default kapag hinahalo ang pahintulot at pagharang

Sinusuportahan ng konfigurasyon ng parola ang mga listahang pahintulot-lamang, pagharang-lamang at pinaghalo, at nagkakaiba ang default para sa hindi tinukoy na natitira sa mga anyong ito. Ang pinaghalong listahan ay nangangailangan ng tahasang default para sa pamilya ng address; ang pag-akalang kumikilos ang natitira tulad ng dating konfigurasyon ang daan kung saan tahimik na nawawala ang gumaganang endpoint.

lighthouse:
  local_allow_list:
    interfaces:
      docker0: false
  remote_allow_list:
    192.168.0.0/16: true
    default: false

Tratuhin ang default bilang bahagi ng tuntunin, hindi bilang tekstong template. Kung pagharang ang default ng pamilya, ibinubukod ang bawat address na hindi nakalista, kabilang ang bagong saklaw ng opisina na idinagdag pagkatapos isulat ang konfigurasyon.

Itala kung aling mga address ang dapat maabot at subukan mula sa magkabilang panig. Ang filter na gumagana para sa isang pares ng kapares ay maaaring mabigo para sa ibang pares na ang tanging karaniwang landas ay gumagamit ng address na ibinubukod ng listahan.

Gumamit ng relay kapag walang direktang endpoint na maaabot

Kung ang bawat kandidatong endpoint ay nasala o hindi maaabot, ang sagot ay hindi isang mas malawak na listahan ng pinapayagan na muling tumatanggap ng mga address na hindi mo pinagkakatiwalaan. Nagbibigay ang konfigurasyon ng relay ng Nebula ng alternatibong landas ng kapares kapag hindi magagawa ang direktang koneksyon.

Nilulutas ng relay ang transportasyon at pagtuklas, hindi ang awtorisasyon, at hindi nito pinapalawak ang firewall. Nagpapasya pa rin ang firewall ng overlay kung aling mga serbisyo ang maaaring gamitin, at hindi ginagawang mekanismo ng kontrol sa pag-access ng relay ang pagsasala ng parola.

Subukan ang landas ng relay na naka-disable ang mga direktang endpoint at kumpirmahin na gumagana pa rin ang sinasadyang serbisyo habang hindi gumagana ang hindi sinasadya. Ang nag-iisang pagsubok na iyon ay naghihiwalay ng pagtatama sa transportasyon mula sa pagbabago ng patakaran at pinapanatiling tapat ang dalawang sapin.